Pixels de suivi dans les emails : qui répond quand la campagne est déléguée

Le taux d’ouverture reste la première ligne de la plupart des rapports de campagne. C’est aussi, depuis le printemps, une mesure que personne ne peut produire sans l’accord du destinataire dès qu’elle sert le marketing.

Les pixels de suivi sont au centre du sujet. La CNIL les range dans le même régime que les cookies, avec deux cas dispensés de consentement, étroits l’un comme l’autre. Quand une entreprise confie ses envois à une agence ou à un prestataire offshore, trois acteurs touchent au pixel de suivi et un seul répond : l’annonceur.

Cet article dit ce qui reste mesurable sans consentement, qui fait quoi dans la chaîne, matrice à l’appui, et ce qu’il faut réécrire dans le contrat du prestataire. Il ne refait pas le commentaire juridique de la recommandation.

Pixels de suivi : ce que la CNIL a décidé, et depuis quand

Un pixel de suivi est une image invisible d’un pixel sur un pixel, insérée dans un courriel. Son nom contient un identifiant du destinataire. Quand le message s’affiche, l’expéditeur sait qui l’a ouvert, quand, et depuis quel terminal.

La CNIL a adopté sa recommandation par la délibération n° 2026-042 du 12 mars 2026. Le texte est paru au Journal officiel le 14 avril 2026, au terme d’une consultation publique ouverte en juin 2025. Il ne crée pas de règle. Il dit comment l’autorité lit l’article 82 de la loi Informatique et Libertés, celui qui encadre déjà les cookies.

La règle centrale tient en une phrase : un pixel de suivi utilisé à des fins marketing, statistiques ou de profilage exige le consentement préalable du destinataire. Refuser doit être aussi simple qu’accepter, et l’absence de réponse vaut refus.

Pour les adresses collectées avant le 14 avril, la CNIL a laissé trois mois : il suffisait d’informer les destinataires et de leur permettre de s’opposer. Ce délai a expiré le 14 juillet 2026. Faute de courriel d’information envoyé à temps, le consentement devient requis pour ces adresses aussi, sauf retard justifié et documenté.

Quant aux contrôles, la CNIL indique qu’elle veillera au respect de ces règles dans ses missions à venir. Aucune date n’est annoncée, et aucune sanction fondée sur cette recommandation n’a été publiée à ce jour. La période de tolérance, elle, est bien close.

Ce qui reste mesurable sans consentement

La plupart des commentaires expédient ce point en deux lignes, à tort. La CNIL reconnaît deux exemptions, et non une liste d’usages tolérés.

La première est la mesure individuelle de la délivrabilité. Le pixel de suivi y sert à repérer les destinataires qui n’ouvrent plus rien, pour espacer les envois ou les retirer de la liste. La seule donnée nécessaire est en principe la date de dernière ouverture. Collecter aussi l’adresse IP ou le type de terminal fait perdre la dispense, même si ces données sont anonymisées peu après.

Cette dispense ne vaut que pour un courriel rattaché à un service demandé par le destinataire. Les courriels transactionnels en font partie : confirmation de commande, facture, avis d’expédition, alerte de compte, renouvellement d’abonnement. Une lettre d’information à laquelle la personne a consenti aussi. Une relance de panier, non : c’est de la prospection.

La seconde exemption concerne la sécurité : un pixel de suivi placé dans un courriel d’authentification ou de réinitialisation de mot de passe, susceptible d’être intercepté. La lutte contre la fraude en général n’en profite pas.

Une confusion revient souvent : croire que le B2B échappe à la règle. Le régime de la prospection B2B autorise l’envoi sans accord préalable à une adresse professionnelle (article L34-5 du code des postes et des communications électroniques). Ce régime concerne l’envoi. Il ne dit rien de la mesure.

Un courriel de prospection envoyé sans consentement n’est pas un service demandé, et son pixel de suivi n’entre donc pas dans la dispense de délivrabilité. La recommandation s’applique d’ailleurs quel que soit le destinataire : client, prospect ou salarié.

Ce que ces deux cas ne permettent pas : nourrir un score d’engagement, segmenter une base, déclencher une relance automatique. Nuance apportée par la FAQ du 22 juillet : les données de la dispense de délivrabilité, une fois réellement anonymisées, peuvent produire un taux d’ouverture global de campagne. C’est de là que partent les contrôles de délivrabilité à exiger d’un prestataire.

Pourquoi le taux d’ouverture des emails cesse d’être un indicateur

Une fois ces règles appliquées, le taux d’ouverture ne couvre plus qu’une partie de la base. D’un côté les destinataires qui ont consenti, de l’autre les données anonymisées de la mesure de délivrabilité. Il n’est pas interdit, il devient partiel.

Partiel, et surtout instable. Deux campagnes envoyées à des segments aux taux de consentement différents ne se comparent plus. Une base collectée en 2024 et une base collectée en 2026 non plus. Le taux d’ouverture reste dans le tableau de bord ; il a perdu sa valeur de pilotage.

Un second biais s’y ajoute. Certaines messageries chargent les images à l’avance, sur leurs propres serveurs, que le message soit lu ou non. Un pixel de suivi enregistre alors une ouverture qui n’a jamais eu lieu. Le chiffre était déjà fragile avant la recommandation ; il l’est davantage depuis.

Le reporting doit donc basculer vers d’autres signaux : les réponses directes, les désinscriptions, et surtout les conversions mesurées sur le site, où l’entreprise maîtrise ses propres outils. Pour ces conversions, la piste la plus solide consiste à mesurer côté serveur avec des données first-party.

Attention au réflexe qui consiste à se replier sur les clics. Selon la FAQ de la CNIL, les liens traçants relèvent du même article 82, même si la recommandation ne les vise pas directement. Ces liens identifient le destinataire dans leur adresse. Un clic mesuré à des fins marketing suppose en principe le même consentement.

La matrice : qui fait quoi, qui répond de quoi

La recommandation aide chaque acteur à analyser son rôle au cas par cas, sans publier de grille. Le tableau qui suit est une lecture ExternFlow, appuyée sur les articles 4, 26 et 28 du RGPD et sur la FAQ de la CNIL. Ce n’est pas une grille officielle.

Deux définitions pour le lire : le responsable de traitement décide des finalités et des moyens d’un traitement. Le sous-traitant agit pour son compte et sur ses instructions.

La colonne de gauche ne se vide jamais. L’annonceur, en tant qu’expéditeur qui décide de l’envoi, est responsable de traitement pour les pixels de suivi, même s’il n’a jamais ouvert l’interface de la plateforme. Exécuter n’est pas répondre.

La colonne de droite peut changer de nature. Une plateforme qui réutilise les pixels pour ses propres fins, par exemple pour améliorer la qualité de ses listes, devient responsable conjoint avec l’expéditeur qui l’accepte par contrat. Il faut alors répartir par écrit l’information et la gestion des droits (article 26 du RGPD).

Reste la ligne de la preuve. La CNIL est explicite sur ce point. Celui qui délègue le recueil du consentement ne peut pas se contenter d’une clause pour le prouver. Il doit pouvoir démontrer que le consentement a été valablement recueilli pour son compte, au besoin par des audits.

Le point où la chaîne casse le plus souvent

Le scénario est banal. Une agence crée le compte de la plateforme d’envoi pour son client, importe la base, lance la première campagne. Le suivi des ouvertures est actif par défaut : personne ne l’a décidé, personne ne l’a désactivé.

Trois ans plus tard, le pixel de suivi tourne toujours, sans finalité déclarée ni base de consentement par segment. La plateforme, sous-traitant au sens de l’article 28, a appliqué ses réglages. La CNIL invite pourtant les fournisseurs à protéger les données par défaut.

Mais personne n’a arbitré, et c’est précisément ce que l’expéditeur devra expliquer en cas de contrôle.

Consentement : ce qu’un contrat d’article 28 ne couvre pas

Beaucoup d’entreprises se pensent couvertes par le contrat de sous-traitance signé avec leur plateforme d’envoi. Ce contrat est utile. Il organise les instructions et la sécurité. Il encadre aussi le recours à des sous-traitants ultérieurs et l’assistance pour l’exercice des droits.

Il ne fait pas deux choses. Il ne transfère pas la qualité de responsable de traitement, qui reste à l’annonceur. Et il ne purge pas une base collectée sans base légale : une adresse obtenue sans information ni consentement valable le reste, quel que soit le contrat.

Relisez donc le contrat existant en cherchant qui décide d’activer la mesure des ouvertures. Si la réponse est « la plateforme, par défaut », le contrat décrit un sous-traitant qui fixe seul une partie des moyens. C’est la zone que la recommandation invite chaque acteur à clarifier.

Deux clauses manquent presque toujours. Elles peuvent être reprises telles quelles, délai à adapter.

• Paramétrage sur instruction écrite : « Le prestataire n’active aucun pixel de suivi sans instruction écrite de l’annonceur. Cette instruction précise la finalité et la base légale, et vaut aussi pour la mesure des clics. Tout réglage par défaut contraire est désactivé dès l’ouverture du compte. »
• Restitution de la preuve sous délai : « Le prestataire restitue à l’annonceur la preuve horodatée du consentement de tout destinataire, dans les cinq jours ouvrés suivant sa demande. Cette preuve est rattachée à la version de l’information délivrée au destinataire. »

L’organisation de cette restitution fait l’objet d’un article dédié, pour restituer la preuve du consentement quand la collecte est déléguée.

Le cas de la campagne opérée par un prestataire offshore

Beaucoup de PME francophones confient leurs opérations d’emailing à des équipes basées au Maroc, en Tunisie ou à Madagascar. Le raisonnement précédent ne change pas : la responsabilité reste chez le client européen. Deux questions s’ajoutent.

La première porte sur la localisation du traitement : où sont stockées les données d’ouverture, qui y accède et depuis où. Un opérateur qui paramètre les envois depuis Tunis accède à des données personnelles, même si la plateforme est hébergée en Europe.

Les journaux d’ouverture le montrent bien : un identifiant du destinataire, une date, souvent une adresse IP. Consulter ces journaux depuis Antananarivo ou Casablanca constitue un accès depuis un pays tiers, que les autorités européennes traitent comme un transfert. Chaque ouverture enregistrée par un pixel de suivi alimente ce flux.

La seconde porte sur les garanties du transfert. Aucune des destinations africaines francophones de l’externalisation ne bénéficie d’une décision d’adéquation de la Commission européenne. Il faut donc des clauses contractuelles types et une analyse du cadre local. Le détail figure dans l’article sur l’absence de décision d’adéquation pour les destinations africaines.

Un dernier point joue en sens inverse. La CNIL rappelle qu’elle peut contrôler un expéditeur ou un prestataire établi hors de l’Union dès lors que les destinataires suivis se trouvent en France. L’éloignement ne protège de rien.

Les six vérifications avant la prochaine campagne

Une heure de revue à deux suffit à couvrir le principal, à condition de suivre cet ordre. Chaque point doit laisser une trace écrite, à conserver avec le registre des traitements.

1. Lister les pixels actifs dans chaque outil d’envoi, y compris ceux activés par défaut et ceux des modèles de courriels hérités.
2. Retrouver la finalité déclarée de chacun : délivrabilité, sécurité, mesure d’audience, personnalisation ou profilage. Un pixel de suivi sans finalité écrite se désactive.
3. Vérifier la base de consentement segment par segment, en séparant les adresses collectées avant et après le 14 avril 2026.
4. Arbitrer les exemptions courriel par courriel : transactionnel, lettre sollicitée ou prospection envoyée sans accord préalable. Une relance commerciale ne relève d’aucune exemption. Les scénarios déclenchés par une ouverture demandent le même tri, détaillé dans les automatisations à revoir selon la CNIL.
5. Documenter le paramétrage dans un registre validé en interne, avec la date et l’auteur de chaque réglage.
6. Fixer l’indicateur de remplacement du taux d’ouverture avant la campagne, pas après : réponses, désinscriptions ou conversions sur le site.

Le troisième point est souvent le plus long. Une base constituée par plusieurs agences successives mélange des adresses recueillies sous des formulaires différents, avec des mentions différentes. Il faut parfois exclure un segment entier de la mesure des campagnes plutôt que de reconstituer un consentement introuvable.

Tout cela se délègue sans difficulté, pourvu que la décision reste chez vous : c’est le partage décrit pour ce qui se délègue dans les marketing operations.

L’arbitrage que l’annonceur doit rendre

Le pixel de suivi a longtemps été un réglage d’outil, activé par défaut puis oublié. Faites du pixel une décision documentée de l’annonceur, avec une finalité, une base légale et un nom en face. Concrètement, un document d’une page suffit : les pixels de suivi actifs, leur finalité, leur base légale et la personne qui a validé chaque réglage. L’exécution peut se déléguer ; la signature, non.

Il ne s’agit pas de renoncer à mesurer. Il s’agit de mesurer ce qu’on a le droit de mesurer, et de pouvoir le prouver le jour où on vous le demande. La même discipline vaudra pour le prochain traceur que proposera votre outil d’envoi, quel qu’il soit.

Si vos campagnes passent par plusieurs prestataires et que personne ne sait dire qui a activé quoi, faisons le point ensemble.

Sources et références

Cet article s’appuie notamment sur la présentation par la CNIL de sa recommandation relative aux pixels de suivi dans les courriels, sur le texte intégral de la recommandation au format PDF, sur les questions-réponses publiées par la CNIL le 22 juillet 2026, sur la délibération n° 2026-042 publiée au Journal officiel et sur l’article 82 de la loi Informatique et Libertés. Le régime de la prospection par courriel renvoie à l’article L34-5 du code des postes et des communications électroniques.